Databricks アカウントコンソールでの SSO

この記事では、組織の ID プロバイダーを使用して、アカウントコンソールと Databricks ワークスペースに対して認証を行うためにシングルサインオン (SSO) を構成する方法を説明します。 ID プロバイダーからユーザーとグループを同期するには、「ID プロバイダーからユーザーとグループを同期する」を参照してください。

SSO 設定の概要

SSO は、SAML 2.0 またはOpenID Connect (OIDC) のいずれかの使用をサポートします。 ID プロバイダー (IdP) は、これらのプロトコルの少なくとも 1 つをサポートしている必要があります。

アカウントコンソールで SSO を有効にしたら、統合ログインを有効にすることを選択できます。統合ログインを使用すると、アカウントと Databricks ワークスペースに使用される 1 つの SSO 構成をアカウントで管理できます。アカウントが 2023 年 6 月 21 日以降に作成された場合、統合ログインは、新規および既存のすべてのワークスペースに対してアカウントでデフォルトで有効になっており、無効にすることはできません。詳細については、「統合ログインを有効にする」を参照してください。

統合ログインが無効になっているワークスペースでは、ワークスペースレベルのSSO個別に構成する必要があります。詳細については、「ワークスペースのSSOを設定する」を参照してください。

以下のIDプロバイダーへのSSOを構成する方法についての手順を確認することができます。

このプロセスは、OIDC または SAML 2.0 をサポートするどの ID プロバイダーでも同様です。ご使用の ID プロバイダーが上記に記載されていない場合は、 OIDCまたはSAMLの手順に従ってください。

アカウントサインインプロセス

アカウントレベルの SSO が有効になっている場合、サインインの動作は次のようになります。

管理者を含むすべてのユーザーは、シングルサインオンを使用して、Databricks アカウントおよび統合ログインが有効なワークスペースにサインインする必要があります。緊急アクセス用に選択されたユーザーは、ユーザー名とパスワード、および FIDO 2 ハードウェアセキュリティキーを使用してログインできます。アカウントが 2023 年 6 月 21 日より前に作成された場合、アカウント所有者はユーザー名とパスワードを使用して Databricks アカウントにログインすることもできます。
アカウント管理者は、ユーザー名とパスワードを使用して、アカウントレベルのREST APIコールを行うことができます。
すべてのユーザーは、ユーザー名とパスワードを使用して、ワークスペースレベルの REST API 呼び出しを行うことができます。基本認証はレガシーであり、本番運用では推奨されません。

SSOが有効になっている場合のワークスペースのサインインプロセスの詳細については、「ワークスペースのサインインプロセス」を参照してください。

統合ログインを有効にする

プレビュー

統合ログインは現在、2023 年 6 月 21 日より前に作成されたアカウントに対してパブリックプレビュー中です。統合ログインは、2023 年 6 月 21 日以降に作成されたアカウントで一般的に利用可能になります。

統合ログインを使用すると、アカウントと Databricks ワークスペースに使用される 1 つの SSO 構成をアカウントで管理できます。アカウントで SSO が有効になっている場合は、すべてのワークスペースまたは選択したワークスペースに対して統合ログインを有効にすることを選択できます。統合ログインワークスペースはアカウントレベルのSSO 構成を使用するため、アカウントおよびワークスペース管理者を含むすべてのユーザーはDatabricks を使用してSSO にサインインする必要があります。統合ログインが有効になっているワークスペースでは、ワークスペースレベルで SSO を個別に管理することはできません。 Databricks では、すべてのワークスペースに対して統合ログインを構成することをお勧めします。

アカウントが 2023 年 6 月 21 日以降に作成された場合、統合ログインは、新規および既存のすべてのワークスペースに対してアカウントでデフォルトで有効になっており、無効にすることはできません。

アカウントコンソールまたはワークスペース管理者設定ページを使用して、統合ログインを有効にできます。

アカウントコンソールを使用して統合ログインを有効にする

統合ログインを有効にするには、アカウントで SSO を有効にする必要があります。

アカウント管理者としてアカウントコンソールにログインし、サイドバーの設定アイコンをクリックします。
「シングルサインオン」タブをクリックします。
統合ログインで、[開始する] をクリックします。
アカウントレベルの SSO 構成で、すべてのワークスペースユーザーが ID プロバイダーにアクセスできることを確認します。「確認」をクリックします。
統合ログインをすべてのワークスペースに適用するか、選択したワークスペースに適用するかを選択します。 Databricks では、すべてのワークスペースに対して統合ログインを有効にすることをお勧めします。ユーザーとワークスペース間のプライベート接続を構成するワークスペースで統合ログインを有効にするには、追加のステップが必要です。「ステップ 5: (オプション) 統合ログインを使用してフロントエンド PrivateLink を構成する」を参照してください。

[選択したワークスペース]を選択した場合は、新しく作成されたワークスペースに設定を適用することを選択し、設定を適用する既存のワークスペースを選択します。
「保存」をクリックします。

ワークスペース管理者設定ページを使用して統合ログインを有効にする

アカウント管理者が選択したワークスペースで統合ログインを有効にした場合、ワークスペース管理者は自分のワークスペースで統合ログインを有効にできます。すべてのワークスペースで統合ログインが有効になっている場合、ワークスペースレベルでシングルサインオン構成は使用できません。

ユーザーとワークスペースのプライベート接続を構成するワークスペースで統合ログインを有効にするには、追加のステップを構成する必要があります。「ステップ 5: (オプション) 統合ログインを使用してフロントエンド PrivateLink を構成する」を参照してください。

ワークスペース管理者として、Databrickワークスペースにログインします。
Databricks ワークスペースの上部バーにあるユーザー名をクリックし、 [設定]を選択します。
[IDとアクセス]タブをクリックします。
SSO 設定の横にある[管理] をクリックします。
[統合ログイン] の横にある [有効にする] をクリックします。

統合ログインへのアップグレード

ワークスペースレベルの SSO が構成された既存のワークスペースで統合ログインを有効にする場合は、次の手順を実行します。

アカウントにシングルサインオンを設定します。
ワークスペース内のユーザーが、ID プロバイダーのアカウントレベルの SSO アプリケーションにアクセスできることを確認します。

ユーザーにアカウントレベルの SSO アプリケーションへのアクセスを許可しても、Databricks での追加アクセスは許可されません。すべての Databricks ワークスペースユーザーは、自動的に Databricks アカウントのユーザーになります。「管理者はどのようにしてユーザーをアカウントに割り当てるのですか?」を参照してください。
「統合ログインを有効にする」に従って、ワークスペースで統合ログインを構成します。
ワークスペースユーザーにサインインしてもらい、ワークスペースで SSO をテストします。
ID プロバイダーのワークスペースレベルの SSO アプリケーションを廃止します。

緊急アクセスの構成

プレビュー

この機能はプライベートプレビュー段階です。このプレビューに参加するには、Databricks アカウントチームにお問い合わせください。

ロックアウトを防ぐために、アカウント管理者は、セキュリティキーを使用した多要素認証を介して最大 10 人のユーザーが Databricks にログインできるように緊急アクセスを構成できます。 Databricks では、緊急アクセスを使用してサインインするために、強力なパスワードと少なくとも 1 つの FIDO 2 ハードウェアセキュリティキーを構成することを推奨しています。

エマージェンシー・アクセスを構成するには:

アカウント管理者としてアカウントコンソールにログインし、サイドバーの設定アイコンをクリックします。
「シングルサインオン」タブをクリックします。
[緊急アクセス] で、緊急アクセスを使用してサインインできるユーザーを最大 10 人選択します。これらのユーザーはセキュリティキーを登録する必要があります。
[保存]をクリックします。

ユーザーがセキュリティキー管理ページを表示するまでに最大 2 分かかる場合があります。

緊急アクセス用のセキュリティキーを登録する

セキュリティキーを登録するには:

緊急アクセス権を持つユーザーとして、アカウントコンソールにログインします。
右上隅にあるユーザー名の横にある下向き矢印をクリックします。
[ ユーザー設定] をクリックします。
「認証」で、「キーの追加」をクリックします。

キーを追加するには、パスワードを設定する必要があります。まだパスワードを設定していない場合は、まずパスワードをリセットするように求めるプロンプトが表示されます。
[ 設定 ] をクリックし、ブラウザーの指示に従ってキーを構成します。

キーを構成すると、セキュリティキーが正常に追加されたことを示す Databricks 通知が表示されます。

セキュリティキーを使用してDatabricksにログインする

緊急アクセスとセキュリティキーを使用してログインするには:

緊急アクセス権を持つユーザーとして、アカウントコンソールに移動します。
「Databricks 資格情報でサインイン」をクリックします。
ユーザー名とパスワードを入力します。 [ 続行] をクリックします。
ブラウザのプロンプトに従って、セキュリティキーを使用します。

Databricks アカウント コンソールでの SSO